被get.belonnanotservice.ga惡意軟體綁架的處理方法

這兩天處理自家的Wordpress部落格問題，居然莫名其妙整個網站被綁架了，無論打開哪個網頁（包含前台後台）都會跳轉到這個網址belonnanotservice.ga 👹🥶😣 很明顯就是被惡意軟體綁架了，拜了咕狗大神後總結的處理方法做個筆記 👺

第一步：登錄到phpMyAdmin，將資料庫備份下來，然後重新設定Wordpress資料庫的密碼，接著執行下列SQL指令來移除可能被植入的不當script（惡意跳轉等等的類型）🤓

UPDATE wp_posts SET post_content = REGEXP_REPLACE(post_content, '((.|\n)*?)<\/script>', '')

第二步：執行下列SQL指令來恢復首頁設定 🤓

UPDATE wp_options SET option_value = replace(option_value, 'https://get.belonnanotservice.ga/away?', 'https://520.be') WHERE option_name = 'home' OR option_name = 'siteurl';
UPDATE wp_posts SET guid = replace(guid, 'https://get.belonnanotservice.ga/away?','https://520.be');
UPDATE wp_posts SET post_content = replace(post_content, 'https://get.belonnanotservice.ga/away?', 'https://520.be');
UPDATE wp_postmeta SET meta_value = replace(meta_value,'https://get.belonnanotservice.ga/away?','https://520.be');

第三步：如果有安裝Yoast SEO，可能會發現很多該外掛的資料表之中的permalink也變更了，可以利用下列SQL指令恢復 🤓

UPDATE wp_yoast_indexable SET permalink = replace(permalink,'https://get.belonnanotservice.ga/away/?/','https://520.be/');

第四步：將網站備份下來，然後移除舊網站，再重新在官網下載最新版本的WordPress，重新上傳 🤓

記得自行變更下方指令中的路徑和使用者/群組

cd /home/admin/web/520.be/public_html
rm -fr wp-content wp-includes wp-admin
cd /opt/
wget http://tw.wordpress.org/latest-zh_TW.tar.gz
tar zxf latest-zh_TW.tar.gz -C /home/admin/web/520.be/public_html/
mv -f /home/admin/web/520.be/public_html/wordpress/* /home/admin/web/520.be/public_html
cd /home/admin/web/520.be/public_html
rm -fr /home/admin/web/520.be/public_html/wordpress/
rm -f /opt/latest-zh_TW.tar.gz
chown -R www:www /home/admin/web/520.be/public_html
find /home/admin/web/520.be/public_html -type d -exec chmod 755 {} \;
find /home/admin/web/520.be/public_html -type f -exec chmod 644 {} \;

第五步：用備份檔內的wp-config.php覆蓋到新網站的wp-config.php，並記得用記事本之類的文字編輯器打開wp-config.php來修改Wordpress資料庫的密碼，變更為在第一步重新設定的密碼；另外注意「認證唯一金鑰設定」的部分也要使用官網的產生器重新產生一遍 🤓

– https://api.wordpress.org/secret-key/1.1/salt/

另外在wp-config.php之中，在WP_DEBUG的上一行，再增加兩個強制設定首頁網址的設定，以避免綁架 🤖🐱‍🚀

define( 'WP_HOME', 'https://520.be' );
define( 'WP_SITEURL', 'https://520.be' );

第六步：如果此時打開網站控制台，網站可以正確登錄無誤時，先到使用者頁面變更管理員密碼，並且「強制登出」其他登入中的裝置！

第七步：將舊網站的三個資料夾uploads、themes、plugins逐一放到新網站還原，過程中尤其要注意plugins資料夾內的外掛不要一次還原，建議一次2到3個就好，邊還原邊重新整理網站頁面觀察是否有問題，也許有某個外掛會出怪手也不一定喔 🤷‍♂️🐱‍👓

第八步：網站的文章、頁面、外掛產生的內容記得多檢查幾頁看看，沒事就打完收工啦 🏂🐱‍🏍🏄‍♂️